Et falsk jobinterview hjalp hackere med at stjæle 6,3 milliarder dollars fra Binance. Angriberne brugte flere måneder på at infiltrere børsen ved hjælp af metoder, som andre kryptovaluta-virksomheder allerede havde advaret om længe før bruddet.
Den 3. november offentliggjorde Binance, at angrebet den 29. oktober startede med to ingeniører, hvis computere var blevet kompromitteret hver for sig.
Den første hændelse fandt sted i juni, da en ingeniør downloadede en manipuleret softwarepakke, mens han søgte efter et AI-værktøj.
Binance opdagede inficeringen, udskiftede computeren og ændrede adgangsoplysninger. Men havde angriberne allerede samlet oplysninger om medarbejderen og wallet-teamet.
Så kom de falske jobsamtaler.
Job-svindel kostede Binance over 6 milliarder dollars
I september blev endnu en ingeniør kontaktet via en legitim rekrutteringsplatform. Den påståede arbejdsgiver arrangerede videointerviews med en HR-repræsentant og en, der udgav sig for at være direktøren.
Til sidst modtog ingeniøren en kodeopgave. De filer, der blev downloadet, indeholdt malware, som omgik computerens sikkerhedssoftware.
Den 20. oktober havde angriberne brugt den kompromitterede computer og et internt AI-værktøj til at nå ud til andre Binance-ingeniører.
De fik efterfølgende stjålet udrulningsoplysninger og brugte dem til at indsætte skadelig software i Binance’s wallet-infrastruktur.
Den 29. oktober begyndte de bedrageriske udbetalinger. Inden for få timer var omtrent 6,3 milliarder dollars stjålet.
Binance oplyser, at cirka 2,85 milliarder dollars er blevet indefrosset, og 98% af de ramte tokens er blevet gendannet med selskabets egne midler.
Andre børser havde allerede advaret mod disse angreb
Rekrutteringsmetoden var allerede veldokumenteret.
I maj 2025 afslørede Kraken en formodet nordkoreansk agent, der forsøgte at få ansættelse på deres ingeniørteam.
Coinbase beskrev et andet formodet tilfælde i august 2026 og forklarede, hvordan usædvanlig aktivitet hjalp dem med at identificere en potentielt kompromitteret konsulent.
Endnu mere direkte advarede Microsoft i marts om, at nordkoreanske hackere brugte falske kodeinterviews til at inficere udvikleres computere.
Hvorfor stoppede Binance det ikke?
Tre sikkerhedsspørgsmål kræver nu svar.
For det første, hvorfor kunne en medarbejder udføre en upålidelig kodeopgave på en computer forbundet til virksomhedens systemer?
For det andet, hvorfor havde infektionen i juni fortsat betydning, efter Binance havde opdaget og håndteret den?
For det tredje, hvordan kunne stjålne udrulningsoplysninger føre til adgang til systemer, som godkender udbetalinger for milliarder?
Binance har ikke forklaret, hvilke sikkerhedsforanstaltninger der svigtede, eller om tidligere brancheadvarsler havde ført til stærkere beskyttelse.
FBI har tilskrevet tyveriet til den nordkoreanske gruppe TraderTraitor.
For Binance er det helt centrale spørgsmål, hvordan en kendt rekrutteringssvindel til sidst kunne ramme den infrastruktur, der beskytter kundernes milliarder.
